#NoticiasCiberseguridad: Boletín de ciberseguridad semanal 25-29 de noviembre

Iniciamos esta serie de boletines semanales en las que os traemos las noticias más relevantes de ciberseguridad que han ocurrido en los últimos días:

Ciberataque mediante ransomware contra Prosegur

Ayer, 27 de noviembre de 2019, la compañía de seguridad Prosegur realizó un comunicado donde reconocía haber sido víctima de un ataque por un virus de tipo ransomware, que secuestra los dispositivos infectados para después pedir un rescate a la víctima. La compañía se vio obligada a aplicar los protocolos de emergencia y restringir las comunicaciones con los clientes para evitar la propagación. La afectación se ha producido a nivel global en todos los países en los que opera la empresa. Según ha informado Prosegur en su cuenta de Twitter, el vector de entrada podría haber sido Emotet y el virus desplegado se trataría del ransomware Ryuk. Este ransomware ya apareció mencionado en relación con los ataques sufridos por Everis y la Cadena SER a principios de mes, así como Sacyl la semana pasada y el Ayuntamiento de Jerez este último verano.

Exposición de datos de 1.200 millones de usuarios

En los últimos días se ha conocido la existencia de un servidor de ElasticSearch que contenía cerca de cuatro mil millones de registros de usuarios, lo que equivaldría a 4 teras de información sobre mil doscientos millones de usuarios únicos, que habría quedado expuesto en internet sin contraseña o petición de autenticación. Entre la información expuesta se encuentran nombres, direcciones de correo electrónico, números de teléfono, perfiles de Facebook y perfiles de LinkedIn. Según los expertos que han analizado los registros, esta fuga podría tratarse de un compendio de filtraciones ya conocidas anteriormente mezcladas con datos de las empresas People Data Labs y OxyData. Se desconoce todavía cómo se produjo la exposición en este servidor, ya que éste no pertenece a ninguna de las dos empresas mencionadas en el repositorio.

Malware para el robo de tarjetas de crédito en hoteles

Turísticas y en el ámbito de la restauración. Dicha campaña tiene como objetivo final el robo de información asociada a reservas de clientes en sus bases de datos. La campaña utiliza como vector de entrada documentos PDF, Excel y Word manipulados; así como la explotación de una vulnerabilidad RDP (CVE-2017-0199) en Office y WordPad. Los actores amenaza registran dominios mediante técnicas de typosquatting que simulan ser el de la empresa víctima, a través de los cuales se envían correos electrónicos que contienen detalles sobre supuestas reservas hoteleras. Los mensajes, enviados en portugués, contienen adjuntos con macros maliciosos que, de ser habilitados, ejecutarán código PowerShell con el objetivo final de descargar el malware RevengeRAT/NjRAT/NanoCoreRAT u otro tipo de malware personalizado. Se cree que dos grupos amenaza distintos, denominados RevengeHotels y ProCC, estarían detrás de esta campaña de cibercrimen. Cerca de 20 empresas habrían sido víctimas del ataque, principalmente en territorio brasileño.

Cientos de usuarios afectados por una fuga de datos en Twitter y Facebook

Facebook y Twitter han admitido que cientos de usuarios dieron permiso para que terceras partes accedieran a sus datos personales a través de aplicaciones sin su conocimiento expreso. Las compañías han declarado que los usuarios afectados han estado utilizando sus cuentas de medios sociales para acceder a ciertas aplicaciones de Android. Investigadores de seguridad descubrieron que los SDK de One Audience y Mobiburn proporcionaban acceso a los datos confidenciales de los usuarios. La información expuesta incluía nombres de usuario, direcciones de correo electrónico, tweets recientes y mensajes en ambas plataformas. Twitter y Facebook han declarado que notificarán a los usuarios afectados.

Magento Marketplace sufre un incidente de seguridad

Adobe ha publicado un comunicado sobre un incidente de seguridad que ha afectado a los usuarios del portal Magento Marketplace el día 21 de noviembre. Los atacantes explotaron la vulnerabilidad que existía en Marketplace con el objetivo de acceder a la información de la cuenta de los usuarios registrados. La información confidencial expuesta incluye nombre, correo electrónico, ID del usuario (MageID), direcciones de facturación y compras, número telefónicos e información comercial. La compañía no ha publicado el alcance de las cuentas afectadas, aunque afirman que no han sido expuestos datos financieros y contraseñas. En respuesta al incidente, la compañía ha cerrado Marketplace temporalmente para corregir la vulnerabilidad.

Si quieres más información en tiempo real, suscríbete a nuestro canal de noticias y reflexiones sobre ciberseguridad creado por el equipo de Innovación y Laboratorio de ElevenPaths. Visita el canal de Telegram y estate al día en seguridad digital.